Leemos en El Mundo que el gobierno británico, tras tantísimos incidentes acumulados que resultaron con la pérdida de datos privados de decenas de millones de ciudadanos, ha decidido «ponerse serio» y exigir a la administración pública y a las empresas privadas, especialmente los bancos que se tomen la privacidad  y seguridad de datos como un tema de máxima prioridad.

Lo curioso es que no indican cómo, al menos de momento, al más puro estilo distribuido-anglosajón.

¿Qué podemos esperar? dos cosas, ninguna buena: acciones de cara a la galería, y que nos obliguen a matar moscas a cañonazos (siento ir de Risto Mejide así en plan pesimista, pero más sabe el diablo por viejo que por diablo).

En la Vigi ya iniciamos una pequeña serie de artículos sobre su interpretación de las cosas y lo que hay que hacer para tratar médicos de alta sensibilidad de manera segura y respetuosa con la privacidad (1, 2, 3). Además, para todas sus unidades organizativas (Primary Care Trusts) y proveedores externos están exigiendo que se cumpla una complicadísima de seguir (que no de implementar: es todo sentido común) Information Governance Statement of Compliance. El matiz es que el cumplimiento se lo tienes que demostrar a personas que en algunos casos no tienen mucha idea de lo que están hablando, y que llegan a exigirte que aísles (tipo pecera) a los empleados que manejen registros médicos en papel (¡sin que les importe que esos documentos también están en electrónico y siendo consultados por otros empleados desde fuera de la pecera!)

En lo que respecta a las empresas privadas, sección bancos, los del banco Lloyds TSB se han puesto a trabajar duro: han cambiado sus condiciones de banca online para que el cliente sea responsable (y por lo tanto, asuma las pérdidas) en fraudes de banca por Internet si no ha tomado «medidas razonables para protegerse». La razón esgrimida es que ellos no pueden forzar a que la gente no clique en los links que llegan en correos electrónicos, o que no pongan contraseñas suficientemente seguras. Pero no definen «medidas razonables» por lo que va a ser muy fácil echarle la culpa al cliente. ¡Hay que tener morro!

Más información: el pack de prensa que ha publicado la Information Commisionner’s Office. (equivalente a nuestra Agencia Española de Protección de Datos).

Seis principios y dieciséis recomendaciones que se resumen en:

1. Acceder o transmitir información identificable de paciente solo cuando sea indispensable, y hacerlo de manera que se garantice la confidencialidad de esa información.
2. Documentar y auditar regularmente el acceso y transmisión de información identificable de paciente.
3. En cada organización que utilice información identificable de paciente, nombrar a una persona responsable de que se cumplan 1, 2 y “la legislación vigente”.

En este informe hay algunos «gaps» fenomenales, por ejemplo, una definición unívoca de lo que es «información identificable de paciente». El resto de cosas se pueden completar. Por ejemplo, por «legislación vigente», si cuentas con un abogado a tu lado, puedes averiguar que las leyes que rigen en este aspecto del tratamiento de datos médicos son:

• Common Law Duty of Confidentiality
• Access to Health Records Act 1990
• Computer Misuse Act 1990
• The Data Protection Act (DPA) 1998
• Data Protection (Processing of Sensitive Personal Data) Order 2000
• The Electronic Communications Act 2000
• The Freedom of Inofrmation Act 2000
• The Privacy and Electronic Communications Directive 2003

Si alguien tiene insomnio y se quiere leer todas estas leyes, están incluídas (¡hay más!) en este documento de la NHS (fichero PDF, 267 Kb).

En la próxima entrega de esta fascinante saga, hablaremos de Caldicott 1.0 y Caldicott 2.0.